一个绕过comodo的宏病毒样本

显示全部楼层 · 发表于 2019-4-19 20:49:08

样本链接：https://bbs.kafan.cn/thread-2147653-1-1.html
这个宏病毒会利用office的宏执行msi文件，调用msiexce来下载木马
由于在comodo中msiexce被识别为信任的安装程序，而文件评级的默认设置是信任由受信安装程序安装的文件
所以comodo直接信任了下载的木马，直接翻车

显示全部楼层 · 发表于 2019-4-19 20:52:52

到這邊回報毛豆官人會比較快處理
https://forums.comodo.com/av-fal ... ware-t123438.0.html

显示全部楼层 · 发表于 2019-4-19 20:54:17

con16 发表于 2019-4-19 20:52
到這邊回報會比較快
https://forums.comodo.com/av-false-positivenegative-detection-reporting/report-t ...

我用软件的提交工具上报了，在它入库之前让本区的其他朋友也试试，顺便改进规则

显示全部楼层 · 发表于 2019-4-19 20:55:04

本帖最后由 con16 于 2019-4-19 20:57 编辑

你是用v12嗎?

等入庫會比較久。直接去官網論壇提出，他們會比較快知道

显示全部楼层 · 发表于 2019-4-19 20:58:43

con16 发表于 2019-4-19 20:55
你是用v12嗎?

12版最新的6818

我还在改进自用规则，不急

晚点再告诉官方

显示全部楼层 · 发表于 2019-4-19 21:17:42

con16 发表于 2019-4-19 20:52
到這邊回報毛豆官人會比較快處理
https://forums.comodo.com/av-fal ... ware-t123438.0.html

OK规则搞完了，样本我已经提交到贴子里了

显示全部楼层 · 发表于 2019-4-19 21:49:33

厉害的，

显示全部楼层 · 发表于 2019-4-19 22:11:43

本帖最后由 rex_bbs 于 2019-4-19 22:37 编辑

回头试下命令行检查全开或把office强行加入命令行检测看下，病毒文件还没测试，不过测试了把excel.exe加入命令行分析器，再双击任何一个xls文件时会有奇迹发生

显示全部楼层 · 发表于 2019-4-19 22:48:06

11版本按前面思路测试普通文件，会进入沙盒模式

，推测如果执行病毒文件也会有同样效果。

显示全部楼层 · 发表于 2019-4-19 22:48:59

rex_bbs 发表于 2019-4-19 22:48
11版本按前面思路测试普通文件，会进入沙盒模式，推测如果执行病毒文件也会有同样效果。

你的msiexce.exe进了沙盒？

[行为分析] 一个绕过comodo的宏病毒样本

评分

评分